概述
大众保险公司向北美和欧洲的客户提供财产和人寿保险。公司总部在纽约，公司的 3 个子公司分别在西雅图，伦敦和马德里。
计划改革
大众保险公司将和一家国际资产管理公司 CompanyA 合资。CompanyA 的网络有一个单一的Windows 2000 Active Directory域，CompanyA不打算把他们的服务器升级成Windows Server2003。
两家公司的合作都在 Internet 上进行。两家公司的用户将访问名为 Customer Data 的共享文件夹，这个文件夹将位于大众保险公司内部网上的一台 Windows Server 2003 计算机上。位于马德里分公司的所有客户机将被升级成 Windows XP 专业版。
目录服务
大众保险公司现在的 Active Directory 森林结构图如下所示：

大众保险公司网络有一个单一的 Windows Server 2003 Active Directory 森林，这个森林有 3 个域分别是： insurance.com，na.insurance.com 和 euro.insurance.com。
网络架构
公司目前网络架构如下图所示：

一台Windows Server 2003 Web 服务器位于纽约办公室的网络设备防护网上，所有位于北美的客户机运行 Windows XP 专业版，每个办公室都有一台域控制器，域控制器还作为文件和打印服务器工作。
问题描述
必须考虑以下业务问题：
使所有客户机都打上最新的安全补丁是困难的。未授权用户已经修改了一些服务器的注册表信息，但是未授权用户不能对公司服务器注册表信息进行修改。每位用户有权访问资源，但是由于访问资源而产生的管理费用必须降低。
首席信息官（ CIO ）的意见
在过去的几年，我们注重来自外部网威胁的预防工作。现在我们意识到还需要对内部网威胁进行预防。近来，机密客户信息被发布到公共区，另外我们怀疑未授权用户试图删除一些文件。因此，我们需要检查哪些用户定期的访问了公司资源。为了避免开销增加，我们必须使用现有的基础结构安全特性来解决我们的安全需求。
业务需求
必须考虑以下业务需求：
使用最小量的 WAN 带宽安装安全补丁。每个办公室的信息技术（IT）部门在这些安全补丁部署到客户机之前对他们进行测试。
书面安全策略
公司书面安全策略包括以下几个要求：
所有客户信息必须保持机密，所有客户信息的访问必须进行跟踪。市场信息和服务提供资料可以公开获得。保险公司只对未授权用户修改市场信息的事件进行跟踪。
管理员能够访问 Microsoft SQL Server 2000 数据库和共享文件夹中的公司财务信息。保险公司和资产管理公司之间的电子邮件信息必须加密。
授权用户将会自动注册证书服务来访问公司资源，所有更新到 Web 服务器上的信息必须需要受到保护以避免被拦截。所有远程服务器的管理必须在加密通道中处理。远程管理桌面不能用来连接网络设备防护网上的服务器。

你需要设计一个访问控制策略来满足业务和安全需求。你的解决方案必须最小化森林范围内的复制工作，你该怎么做？（）